Vulnérabilités découvertes et publiées à mon nom — @Eyodav — dans le cadre de ma recherche en sécurité.
Un membre peu privilégié peut injecter des directives Docker Compose arbitraires lors du déploiement, aboutissant à une exécution de code à distance sur l'hôte.
Plusieurs endpoints API de CasaOS sont accessibles sans authentification et exposent des fichiers de configuration sensibles ainsi que des informations de débogage système.
Un XSS persistant dans le flux de suppression de projet permet à un utilisateur peu privilégié d'exécuter du JavaScript arbitraire dans le navigateur d'un administrateur.
Exécution de commandes shell arbitraires via le champ Git Repository non filtré dans Coolify, accessible à un utilisateur authentifié avec des droits limités.
Les utilisateurs authentifiés peuvent uploader des fichiers arbitraires (.html, .svg) en tant qu'images de profil, accessibles publiquement sans auth, permettant un XSS persistant.
Le endpoint /upload-program-action d'OpenPLC Runtime est vulnérable à un déni de service persistant, rendant le service PLC inaccessible jusqu'à intervention manuelle.